Änderungen iob CLI/Installer/Fixer mit Root Accounts

[Thomas Braun]

@martinp

Ja, ist komplett OT. Bitte eigenen Thread eröffnen.

[hahne]

@thomas-braun

hahne@ioBroker:~$ ls -la /home/
ls -la /home/iobroker/.fix.sh
insgesamt 16
drwxr-xr-x  4 root     root     4096 22. Okt 10:11 .
drwxr-xr-x 18 root     root     4096  4. Okt 17:46 ..
drwxr-xr-x  2 hahne    hahne    4096 22. Okt 10:13 hahne
drwx------  5 iobroker iobroker 4096 22. Okt 10:08 iobroker
ls: Zugriff auf '/home/iobroker/.fix.sh' nicht möglich: Keine Berechtigung
hahne@ioBroker:~$

[Thomas Braun]

@hahne

sudo -u iobroker chmod 750 /home/iobroker/

[hahne]

@thomas-braun Funktioniert! Super danke.
Was hatte ich falsch gemacht ?

[Thomas Braun]

@hahne sagte in Änderungen iob CLI/Installer/Fixer mit Root Accounts:

Was hatte ich falsch gemacht ?

Relativ frische Installation? Ich glaube, in aktuellen Debiansen werden /home-Verzeichnisse für andere user als der eigene erstmal nicht freigegeben. Muss mal schauen, wie das bei aktuellen Installationen ausschaut.

[hahne]

@thomas-braun
Was heißt frisch ich glaube so ca. ein 3/4 Jahr.

[Rene55]

@thomas-braun Bei welchen Debiansen muss ich denn mit so einem Effekt rechnen?

[Thomas Braun]

@rene55

Das macht vermutlich jede Distro etwas anders.

Ich glaube, der iob-Installer biegt die Rechte passend, allerdings nur wenn der ausführende User nicht ohnehin schon 'iobroker' lautet. Deswegen ja auch immer der Hinweis, das 'iobroker' eine schlechte Idee für einen Standard-User ist.

[Rene55]

@thomas-braun sagte in Änderungen iob CLI/Installer/Fixer mit Root Accounts:
Ich nutze ja die fertigen Images von Proxmox. Da ist das wohl noch nicht. Ich frag auch, weil du oben von

aktuellen systemd-Kisten gibt es die RunLevel nicht mehr

sprachst und ich aktuell den Runlevel 5 habe. Aber ich vermute mal, das gehört weniger hier hin als eher in einen Tomas-Braun_Linux-Kurs.

[Thomas Braun]

@rene55 sagte in Änderungen iob CLI/Installer/Fixer mit Root Accounts:

sprachst und ich aktuell den Runlevel 5 habe.

Dein System ist vermutlich auch nicht 'bleeding edge'. Das wird bei Debian erst mit dem kommmenden Release 'Trixie' im nächsten Jahr evtl. eingeführt. Debian mahlt ja bei sowas immer sehr langsam und vorsichtig.
Auf meinem Arch-Linux Laptop gibt es keine RunLevel mehr:

[thomas@roamer ioBroker]$ who -r
[thomas@roamer ioBroker]$ 

[Rene55]

@thomas-braun Mit 'bleeding edge' kann ich nichts anfangen - hab ich noch nie gehört. Ich bin da auf das angewiesen, was proxmox so anbietet, Arch-Linux gibt es da anscheinend nicht.

[Thomas Braun]

@rene55

OT: Arch Linux ist ein 'rolling release', d. h. da hast du meist innerhalb von wenigen Stunden/Tagen die neuste Sorftware auf dem Rechner. Mit allen Vor- und Nachteilen. Das ganze ist natürlich dann auch weniger gut getestet. Debian lässt die Software u. U. Jahre reifen und haut nur alle zwei Jahre ein Release raus. Das ist natürlich gut abgehangen und besser getestet, ideal im Serverbetrieb.

[Thomas Braun]

@thomas-braun sagte in Änderungen iob CLI/Installer/Fixer mit Root Accounts:

Ich glaube, der iob-Installer biegt die Rechte passend, allerdings nur wenn der ausführende User nicht ohnehin schon 'iobroker' lautet. Deswegen ja auch immer der Hinweis, das 'iobroker' eine schlechte Idee für einen Standard-User ist.

So ist es. Fix für den Fixer ist eingereicht. Inkl. 'useradd' und 'chpasswd'.

https://github.com/ioBroker/ioBroker/pull/577

Grothesk242 created this issue in ioBroker/ioBroker

closed Fixed user creation & invalidate --allow-root #577

[apollon77]

@arteck Okk ... also ich hab mal geschaut und die FIles in /opt/iobroker/* hat der fixer noch NIE von owner her geradegebogen ... der macht das nur im /home/iobroekr/-npm. Im /opt/iobroker werden default ACL gesetzt sodass die iobroker Gruppe immer zugreifen darf.

Wenn im Fixer log ein "ACL enabled: true" steht dann war das erfolgreich und es ist nicht mehr nötig da Owner zu fixen. Also Ist das ok wenn der Owner ggf anders ist. Es sollte so oder so keine Probleme geben. Falls doch müsste man nochmal schauen.

Ergo ... all fine

[Thomas Braun]

@apollon77

Hier macht meine Kiste das aber:

echad@chet:/opt/iobroker $ getfacl ichgehoereroot 
# file: ichgehoereroot
# owner: root
# group: root
user::rw-
group::r-x                      #effective:r--
group:iobroker:rwx              #effective:rw-
mask::rw-
other::r--
echad@chet:/opt/iobroker $ echo "Es lief der Fixer"
Es lief der Fixer
echad@chet:/opt/iobroker $ 
echad@chet:/opt/iobroker $ getfacl ichgehoereroot 
# file: ichgehoereroot
# owner: iobroker
# group: iobroker
user::rw-
group::r-x
group:iobroker:rwx
mask::rwx
other::r--

Edit:
Und auch fiiles, die zuvor ohne ACLs gewesen sind bekommen in /opt/iobroker via Fixer die neuen Gruppen verpasst:

echad@chet:/opt/iobroker $ getfacl ichgehoereechad 
# file: ichgehoereroot
# owner: echad
# group: echad
user::rw-
group::rw-
other::r--

echad@chet:/opt/iobroker $ iob fix
............
echad@chet:/opt/iobroker $ getfacl ichgehoereechad 
# file: ichgehoereechad
# owner: iobroker
# group: iobroker
user::rw-
group::rw-
group:iobroker:rwx
mask::rwx
other::r--

echad@chet:/opt/iobroker $

[Chaot]

Bei mir immer noch das gleiche Problem:

haus@ioBroker:~$ iob stop
Could not send "SIGTERM" to process 203: kill EPERM
No "killall.sh" script found. Just stop.
haus@ioBroker:~$ iob fix
iobroker fix

Execute the installation fixer script, this updates your ioBroker installation

Options:
  --help  Show help  [boolean]
haus@ioBroker:~$ iob start

Gerade gemerkt. Scheinbar bin ich auf JS Version 7.0.1

[Thomas Braun]

@chaot

Kannst du denn iob diag ausführen?

[Chaot]

@thomas-braun
Nein. Kommt in rot die Liste der Befehle

[Thomas Braun]

@chaot

ls -l /home

sagt? Kannst du

iob status

ausführen?

[Chaot]

@thomas-braun sagte in Änderungen iob CLI/Installer/Fixer mit Root Accounts:

iob status

haus@ioBroker:~$ ls -l /home
total 8
drwxr-xr-x 11 haus     haus     4096 Oct 21 21:38 haus
drwxr-xr-x 11 iobroker iobroker 4096 May 22 19:18 iobroker
haus@ioBroker:~$ iob status
iobroker is running on this host.


Objects type: jsonl
States  type: redis